El 64% de las empresas españolas que sufrió 'ransomware' pagó el rescate y casi la mitad fue atacada de nuevo

El 2021 fue un año marcado por la digitalización derivada de la pandemia. Sin embargo, en medio de la agilidad con la que muchas de las empresas tuvieron que adoptar el teletrabajo, los hackers lograron aprovechar las brechas de seguridad que dejó esta transformación digital. Así lo muestra el 6to Informe de Ciberpreparación de Hiscox, en el que se evidencia un aumento de las empresas ciberatacadas de 43% en 2020 a un 48% en 2021. 

El análisis muestra la importancia que le han dado las organizaciones a la ciberseguridad en el último año, tanto así, que 7 de los 8 países evaluados clasificaron los ciberataques como la principal amenaza a su negocio. De hecho, un dato relevante es que una de cada cinco empresas atacadas vio la solvencia de su negocio amenazada, un 24% más que el año pasado. 

Consecuencia de esto es que la inversión en ciberseguridad ha aumentado un 250% desde 2019 a nivel mundial, no obstante, las empresas consideradas como ‘ciberexpertas’ bajaron drásticamente de un 20% a un 5%. En España, el escenario es peor: las empresas que han sido objeto de ciberataques asciende a un 51% y el porcentaje de organizaciones ‘ciberexpertas’ es de sólo un 2% (el 30% son consideradas por el informe como ‘cibernovatas’).

El cibercolaborador de Hiscox, Fernando Conde, comentó que esta calificación ha pasado de tener a más empresas en los extremos (muy preparadas y muy poco preparadas), a que el grueso se encuentre en el nivel intermedio. “Esto se debe a que muchas empresas ya han empezado a concienciarse y han pasado del rango de ‘cibernovatas’ al intermedio, pero han caído las ‘ciberexpertas’, porque hemos visto ataques como la vulnerabilidad Log4j, que ha revelado a muchas empresas que realmente no están tan seguras como ellas mismas pensaban”.

El informe de Hiscox determina que el punto de entrada más común de estos ataques es el email (41%), seguido de los servidores de la nube (38%), los servidores corporativos  (38%), los móviles personales (29%) y los móviles corporativos (27%).

Respecto a los tipo de ciberataques más comunes, destacan la denegación de servicio distribuido (DDos), con un 38% de los casos; el fraude financiero, con un 32%; y el ransomware, con un 22%.

El ransomware continúa siendo una amenaza

El ransomware, un tipo de malware que secuestra datos o información relevante y pide un rescate para devolverlos o desencriptarlos, se mantiene como una amenaza para las compañías. El principal punto de entrada de este tipo de ciberataque es el phishing (64%), aunque también se ha visto que una gran parte de ellos entra a través de un ataque a los proveedores (47%) y del robo de credenciales (38%). 

El reporte sostiene que el 64% de las empresas españolas que sufrieron ransomware en 2021 pagaron el rescate, que en promedio fue de 19.400 euros. A pesar de esta elevada cifra, España es uno de los países que menos pagó el rescate entre los países analizados. 

Tras sufrir el ataque, el 60% de las empresas recuperó los datos secuestrados, sin embargo, el 47% de ellas sufrió otro ataque ransomware producto del primero. En tanto, un 37% de las organizaciones recuperó los datos pero tuvo que reconstruir su sistema y en un 20% de los casos los datos fueron filtrados de todas formas. 

Los costes de un ciberataque

En España, un ciberataque le cuesta a una empresa un promedio de 105.655 euros, cifra que se duplicó con respecto al año anterior y que es muy superior a la media mundial (78.409 euros). Esto supone un real problema cuando se estima que las empresas reciben 84 ciberataques al año.

La ciberseguridad, en tanto, ocupa el 24% del presupuesto total destinado a TI de las empresas. En detalle, las organizaciones gastan este presupuesto en abordar las amenazas y vulnerabilidades existentes, mejorar la seguridad del servicio y las aplicaciones orientadas al cliente e invertir en la detección de malware en dispositivos de usuarios finales. Además, el 64% de las empresas a nivel internacional cuenta con un ciberseguro.

“La única motivación de los cibercriminales es ganar dinero. Toda la inversión que hagan será en mejorar su negocio. En cambio, las empresas estamos viendo tasas de crecimiento (de la inversión en ciberseguridad) de, en el mejor de los casos, un 5% en el presupuesto, que ya es mucho. Es un esfuerzo que hacen las empresas, pero contra alguien que está mejorando un 20%, me voy a quedar atrás. Es una carrera que de base tenemos perdida. No vamos a poder competir en inversión, por lo que tenemos que ser más inteligentes, pensar en qué voy a gastar el dinero”, señala Conde.

En cuanto al tiempo que demoraron las empresas en recuperarse de un ciberataque, el informe revela que un 38% tomó menos de una semana, un 34% entre una y dos semanas y un 11% demoró entre dos semanas y 3 meses. Además, el coste medio de recuperación tras un ataque tipo ransomware fue de 10.771 euros.

Las pymes, al tener menos recursos y, generalmente, estar menos preparadas ante amenazas de este tipo, son las que enfrentan las peores consecuencias. Un 34% de ellas experimentó una pérdida de clientes luego de un ciberataque, un 30% se vio afectada por mala publicidad o baja de reputación y el 28% tuvo que aumentar sus costes de notificación de clientes sobre esta incidencia. A pesar de esto, el informe de Hiscox detecta que el 4% de las pymes afectadas no ha hecho nada para prevenir nuevas amenazas después de sufrir algún ciberataque.